Разбор задачки про tcpdump В задачке приняло участие не так много участников, как хотелось бы, но будем думать, что эта тема всем понятна😄 читаем сам дамп:

Порт 22: S → S/ACK → R → open Порт 23: S → R/ACK → closed Порт 80: S → тишина, повторный S → filtered

🔐 22 — open. Сервер ответил SYN/ACK ([S.]): порт слушает. 🚪 23 — closed. Хост жив, но на порту никто не слушает, и он ответил RST/ACK ([R.]). 🛡 80 — filtered. Ответа нет, Nmap повторил SYN. Скорее всего, пакеты дропает файрвол. ⚙️ Тип скана: SYN (half-open), -sS. Получив SYN/ACK, клиент не отправил ACK, а оборвал соединение через RST. Connect-скан (-sT) довёл бы рукопожатие до конца. Зачем RST: соединение не доходит до приложения, а запись о полуоткрытом соединении быстро освобождается. Но IDS такой скан всё равно видит. Проверяем:

sudo nmap -sS -p 22,23,80 --reason 10.0.0.10

22/tcp open     ssh     syn-ack
23/tcp closed   telnet  reset
80/tcp filtered http    no-response

🧠 Главная мысль: open, closed и filtered — это три разных реакции на один и тот же SYN. Различаешь их по ответу, а не по цвету в терминале. Спасибо всем, кто пишет в комменты и ставит реакции! 🙌 #разбор #network #nmap #pentest

🧪 Мини-задача перед выходными: читаем дамп С хоста 10.0.0.5 просканировали 10.0.0.10. Вот что показал tcpdump:

10.0.0.5.51234  > 10.0.0.10.22: Flags [S],  seq 1000
10.0.0.10.22    > 10.0.0.5.51234: Flags [S.], seq 5000, ack 1001
10.0.0.5.51234  > 10.0.0.10.22: Flags [R],  seq 1001

10.0.0.5.51235  > 10.0.0.10.23: Flags [S],  seq 2000
10.0.0.10.23    > 10.0.0.5.51235: Flags [R.], seq 0, ack 2001

10.0.0.5.51236  > 10.0.0.10.80: Flags [S],  seq 3000
10.0.0.5.51237  > 10.0.0.10.80: Flags [S],  seq 3500   (через ~1 сек)

❓ Вопросы Какой статус у портов 22, 23 и 80? Какой это тип скана? Почему на порту 22 клиент отправил [R], а не [.] (ACK)? Обращаем внимание на на флаги и на то, что ответил (или не ответил) сервер. Пиши ответы в комментарии. Разбор в понедельник. 🕕 #практика #network #nmap #pentest